CVE-2026-18323

Nome do Software Vulnerável e Versões Afetadas Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.57.0.3

Description A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre porque o endpoint AJAX de submissão de rascunho Save-and-Continue está registrado como nopriv, permitindo que atacantes ignorem a validação de associação de opções do campo de rádio. Isso possibilita a persistência de um payload manipulado que é executado automaticamente através do vínculo de callback de atributo de dados da biblioteca Inputmask incluída quando a página de administração de Submissões é acessada.

Recommendations Atualize o Forminator Forms – Contact Form, Payment Form & Custom Form Builder para a versão 1.57.0.3 ou posterior.